多要素認証は、設定を有効にするだけでは運用できません。メール・管理者アカウントから始める優先順位、端末紛失時の復旧、退職者対応、導入後の確認事項を中小企業向けに整理します。
多要素認証はどのアカウントから導入する？
中小企業で多要素認証（MFA）を導入するなら、まずメール、クラウドの管理者、リモート接続、顧客情報を扱うサービスを洗い出します。すべてを同時に変えるより、乗っ取られた場合に他のシステムへ影響が広がるアカウントから着手すると、担当者が少なくても進めやすくなります。
最初に作るのは製品比較表ではなく、サービス名・利用者・管理者・認証方式・復旧担当を並べた台帳です。日常業務に使っていない旧アカウントや、外部委託先の接続も含めます。不要なアカウントを整理すれば、追加認証を設定する対象も明確になります。
MFA・二段階認証・パスキーをどう選ぶ？
MFAは、知っている情報、持っているもの、身体の特徴など、異なる種類の要素を組み合わせる認証です。二回入力するだけで、必ず多要素になるわけではありません。方式を選ぶ際は、従業員の端末、共有端末の有無、サービス側の対応を確認します。
CISAはフィッシング耐性のあるMFAを推奨しています。対応サービスではFIDO/WebAuthnを使う方式などを検討し、導入できない対象も放置せず、利用可能な追加認証と監視を組み合わせます。パスキーについても、端末の管理・同期・本人確認の条件を調べ、名称だけで同じ安全性と判断しないことが大切です。
端末紛失と退職者対応を先に決める
追加認証を必須にした直後、担当者のスマートフォンが故障するとどうなるでしょうか。復旧方法が個人任せだと、業務停止や安易な認証解除につながります。導入前に次の手順を決めておきます。
- 端末を紛失した人の本人確認を誰が行うか
- 予備の認証手段や復旧コードをどこで管理するか
- 登録済み端末・セッションを誰が失効させるか
- 退職・異動・委託終了時に何を停止するか
緊急用アカウントを設ける場合も、常用せず、保管責任者・利用記録・通知・定期点検を設計します。共有IDを残したまま、代表者一人の携帯電話に認証を集約する方法は、引き継ぎや責任の確認を難しくします。
導入完了の判断に使う受入チェック
小人数で試行し、通常ログイン以外の場面まで確認します。たとえば、外出先の端末、端末交換、認証機器の紛失、退職者の接続、旧メールソフトの接続です。追加認証を迂回する古い認証方式が残っていないかも、サービスの仕様に沿って調べます。
- 対象者全員への登録と適用が確認できたか
- 管理者アカウントにも適用されているか
- 本人が操作していない承認要求を報告できるか
- 復旧の申請から再開までを担当者が実行できたか
- 失効・例外・認証失敗の記録を確認できるか
「登録済み人数」と「追加認証が実際に強制される人数」は分けて集計します。例外は理由・期限・代替策を記録し、恒久的な抜け道にしない運用が必要です。
よくある質問と導入相談の準備
Q. MFAを導入すれば情報漏えいを防げますか？MFAだけで端末感染や権限の付けすぎ、ログイン後のセッション悪用まで防げるわけではありません。端末管理、最小限の権限、ログ監視、教育も組み合わせます。
Q. 外注するときに何を渡せばよいですか？アカウント台帳、利用端末、必須業務、現在の認証方式、止められない時間帯を共有します。パスワードを資料へ平文で並べる必要はありません。設計・試行・適用・復旧訓練のどこまでを依頼するかを決めると、見積もりの範囲も明確になります。
情報管理の確認事項はFor fの情報管理・運用ガイド、継続的な点検はOperations and maintenanceをご覧ください。
参考：CISA：#StopRansomware Guide／IPA：中小企業の情報セキュリティ対策ガイドライン。2026年10月23日確認。